CVE-2026-61898
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Skrypty pomocnicze języka specyficzne dla Ubuntu (save-to-pam-env, update-langlist) w accountsservice przed wersją 23.13.9-8ubuntu7 traktują wpis LANGUAGE w ~/.pam_environment jako zaufany. Wartość jest interpolowana bez escapowania do wyrażenia sed, co pozwala atakującemu na wstrzyknięcie flagi 'e' i dowolnych poleceń powłoki wykonywanych z uprawnieniami procesu AccountsService (UID 0) przez metodę D-Bus SetLanguage.
Ocena ryzyka
Lokalny atakujący może uzyskać pełne uprawnienia roota, co prowadzi do całkowitej kompromitacji systemu.
Rekomendacja
Zaktualizuj accountsservice do wersji 23.13.9-8ubuntu7 lub nowszej, która zawiera poprawkę.
Inne podatności w accountsservice
Zobacz wszystkie- CVE-2026-61897Wysokie
Specyficzna dla Ubuntu poprawka do AccountsService przed wersją 23.13.9-8ubuntu7 tylko częściowo obniża uprawnienia przed uruchomieniem skryptów pomocniczych języka. Zmienia efektywne UID/GID na docelowego użytkownika, ale pozostawia rzeczywisty UID jako 0 (root). Powłoka uruchomiona przez skrypt pomocniczy dziedziczy ruid=0 i może zresetować efektywne UID do roota, umożliwiając lokalną eskalację uprawnień.
- CVE-2026-16743Średnie
W pakiecie accountsservice, w ścieżce kodu systemd-homed dla SetIconFile, nazwa pliku dostarczona przez użytkownika jest otwierana jako root bez walidacji i obniżenia uprawnień, które są wykonywane przez klasyczny handler. Lokalny atakujący z kontem zarządzanym przez systemd-homed może odczytać dowolne pliki dostępne dla procesu accounts-daemon.
- CVE-2023-3297Wysokie
W usłudze accountsservice w systemie Ubuntu występuje podatność typu use-after-free, którą może wykorzystać lokalny atakujący bez uprawnień, wysyłając wiadomość D-Bus do procesu accounts-daemon.
Oryginalny opis (angielski, źródło NVD)
The Ubuntu-specific language helper scripts (save-to-pam-env, update-langlist) shipped with accountsservice before 23.13.9-8ubuntu7 treat the user-controlled LANGUAGE entry in ~/.pam_environment as trusted input. The value is interpolated unescaped into a GNU sed replacement expression, allowing an attacker to inject a sed 'e' flag and arbitrary shell commands that execute with the privileges of the AccountsService helper process (real UID 0) via the SetLanguage D-Bus method.